给你的电脑做无痛手术的病毒(兼答Explorer缺少sysup32.dll无法启动的问题)
作者：清新阳光 ( http://hi.baidu.com/newcenturysun)
日期：2007/06/19 (转载请保留此申明)
昨天在整理虚拟机里的木马时候 发现了这么一个病毒 此病毒替换系统文件 并且不会使你感觉到任何蛛丝马迹 给你
的电脑做了一个无痛手术
让我们来看看他是怎样做的吧
File: rxm.exe
Size: 115628 bytes
MD5: AF62DC062ABF0A7E059EBD2C79460D27
SHA1: 67F317C5D2D60DB7D38CA2953E313DEC0FD3E8E4
CRC32: 63610FE3
运行后
首先访问61.152.116.132:80
下载http://xxxxx.com.cn/count/data_add.aspx?filename=rxm.exe
到临时文件夹
临时文件夹的rxm.exe随即运行
首先修改winlogon.exe的虚拟内存
然后winlogon.exe修改注册表以下内容（不知何意，望高手指导）
进程：
路径： C:\WINDOWS\system32\winlogon.exe
PID: 640
信息： Windows NT Logon Application (Microsoft Corporation)
注册表群组： System
对象：
注册表键： HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
注册表值： ParseAutoexec
新的值:
类型: REG_SZ
值： 1
先前值:
类型: REG_SZ
值： 1
增加目录C:\WINDOWS\system32\wins
在其下面释放一个随机8位字母组合的一个dll文件
我这里是ccnvlewg.dll
在C:\windows下释放C:\WINDOWS\wlhhjm.dll
和C:\WINDOWS\system32\secmgnt.dll
然后删除C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\dllcache\services.exe
并用修改过的傀儡SERVICES.EXE分别替换之（究竟是怎样替换的还没搞清楚）
但已经搞清楚C:\WINDOWS\system32\wins的那个dll就是 系统原先的services.exe
病毒为什么会替换services.exe呢
经过研究那个傀儡的services.exe
此services.exe的dll 导出表中包含有病毒释放的C:\WINDOWS\system32\secmgnt.dll
也就是说services.exe只要运行就得加载自己的C:\WINDOWS\system32\secmgnt.dll
否则会报找不到secmgnt.dll而无法运行
真正实现了注册表无痕迹启动
那个C:\WINDOWS\system32\secmgnt.dll卡巴报为Trojan-Psw.Win32.OnlineGames.bf
还是个盗号木马 可卡巴一旦把这个dll删了 你的系统就会因为services.exe启动不了而崩溃 哈哈 这招够绝
